SMTP 测试

• 真实会话、真实数据：220 横幅、EHLO 能力列表、STARTTLS 协商、TLS 证书与 AUTH 认证方式全部从线路中捕获，绝非虚构。
• 批量检测：一次粘贴最多 50 个目标（域名、主机名、邮箱地址或 IP），每台主机完成即逐条上屏，慢主机不会拖住整批。
• 默认覆盖三个端口：自动探测 25（服务器间投递）、587（提交）与 465（隐式 TLS），无需手动填写端口。
• 25 端口交叉验证：当探测网络出站 25 被过滤时，会改用外部节点复核，避免把「超时」误判为「不通」。
• 平台指纹识别：60+ 条规则识别对端到底是谁 —— Postfix、Exim、本地 Exchange 或 Microsoft 365、Gmail、QQ 邮箱、Coremail、Zimbra、Yandex、邮件安全网关与云中继 —— 并给出置信度与匹配到的证据。
• 可投递性信号：TLS 版本与证书有效期（含临期告警）、PTR 反向解析及正向确认、AUTH 认证方式，以及一个在任何邮件发出前就会停止的开放中继探测。
• 评分与导出：每个目标得到 0–100 分和字母等级，整批结果可导出为 CSV 或 JSON 用于报告。

1. 1解析域名的 MX 记录（或直接使用你输入的主机名），找到真正负责邮件的机器。
2. 2并发向 25、587、465 端口发起 TCP 连接，并测量握手耗时。
3. 3读取连接建立时服务器打印的 220 欢迎语（Banner）。
4. 4发送 EHLO，抓取完整能力列表；若支持则发起 STARTTLS 升级。
5. 5在 TLS 通道内再次发送 EHLO —— 大多数服务器正是在这里才暴露 AUTH 认证方式。
6. 6可选地用一个外部域名的 RCPT TO 探测该主机是否为任意人中继。
7. 7发送 QUIT 并关闭连接。全程不会传输任何邮件正文。

由于探测在云端执行，你本机可以连通的端口在这里仍可能超时：大量云厂商与运营商会过滤出站 25 端口。当 25 超时而 465/587 正常时，我们会判定为出站被封锁，而不是服务器故障。

• 25 端口是其他邮件服务器联系你的唯一通道。它一旦关闭或被过滤，入站邮件就会退信。
• 587 是应用发信的正确默认端口。它要求 AUTH，服务器因此能区分已认证用户与公网匿名连接。
• 465 并未过时。RFC 8314 正式将其重新登记为隐式 TLS 端口，现在很多服务商反而推荐它，因为它消除了降级攻击窗口。
• 探测节点连不上 25 端口并不等于配置错误 —— 家庭宽带、AWS、GCP 以及绝大多数 Serverless 平台默认封禁出站 25。

S: 220 mail.example.com ESMTP Postfix
C: EHLO client.example.org
S: 250-mail.example.com
S: 250-PIPELINING
S: 250-SIZE 52428800
S: 250-ETRN
S: 250-STARTTLS
S: 250-ENHANCEDSTATUSCODES
S: 250-8BITMIME
S: 250-DSN
S: 250 SMTPUTF8
C: STARTTLS
S: 220 2.0.0 Ready to start TLS
C: EHLO client.example.org
S: 250-AUTH PLAIN LOGIN
S: 250-ENHANCEDSTATUSCODES
S: 250 8BITMIME
C: QUIT
S: 221 2.0.0 Bye

注意 AUTH 只在 STARTTLS 之后出现。这是刻意设计：在明文阶段通告 AUTH，等于邀请他人截获凭据。我们看到这种情况会明确标红。

• 25 端口返回 220 横幅，其中主机名可正反解析（PTR 与 A 记录一致）。
• 25 端口通告 STARTTLS，并能协商 TLS 1.2 及以上，证书匹配 MX 名称。
• 587 开放用于提交且要求认证；AUTH 只在 TLS 内通告。
• 对非本服务器托管的域名一律拒绝中继。
• 已发布 SPF、DKIM、DMARC，此时出现的 550 拒收只关乎信誉，而非身份伪造。
• 已配置 MTA-STS 与 TLSRPT，降级尝试会被拒绝并上报。
• 若域名已启用 DNSSEC，发布 DANE TLSA 记录 —— 这是入站 TLS 最强的强制方式。
• 监控证书到期时间，尽量在到期前 30 天以上完成续期。